Прамая сакрэтнасць для VPN: што можа адкрыць выкрадзены ключ

Запішыце зашыфраваны тунель сёння, выкрадзіце доўгатэрміновы прыватны ключ сервера ў наступным годзе і паспрабуйце расшыфраваць запіс. Прамая сакрэтнасць — гэта ўласцівасць, якая кажа, што выкрадзенага ключа самога па сабе не хопіць. Гэта сцвярджэнне пра запісаныя сесіі і пэўныя сакрэты, а не агульная абяцанка, што тунель быў бяспечным. Менавіта дакладнае вызначэнне межы робіць тэрмін карысным.

Пытанне пра запіс, а не пра жывую сесію

Доўгатэрміновы ключ ідэнтыфікуе канчатковы пункт і падпісвае рукапацісканне. Ключы сесіі шыфруюць фактычны трафік, і ў схеме з прамой сакрэтнасцю яны выводзяцца з свежага матэрыялу абмену ключамі, які абодва бакі ствараюць і потым выкідваюць. Зламыснік, які мае толькі доўгатэрміновы ключ, не можа аднавіць гэтыя выкінутыя значэнні. Зламыснік, які мае жывы стан сесіі, усё яшчэ можа, і менавіта таму гарантыя тычыцца мінулага, а не сучаснасці.

Сцвярджэнне ўмоўнае: яно выконваецца, толькі калі эфемерныя сакрэты сапраўды знішчаны і пратакол менавіта той, пра які вы думаеце. Змяшанае разгортванне можа задаволіць яго на адным тунелі і праваліцца на іншым.

Адзін сакрэт не павінен аднаўляць астатнія

Правярайце ўзгоднены рэжым, а не маркетынгавую старонку. Вынік рукапаціскання называе абмен ключамі і версію пратакола.

openssl s_client -connect vpn.example.com:443 -tls1_3 -brief
swanctl --list-sas

Зводка s_client паказвае версію TLS і групу абмену ключамі, а эфемерная група — гэта бачны прыкмет дамоўленасці аб ключах з прамой сакрэтнасцю. Спіс swanctl паказвае асацыяцыі IKE і CHILD з іх таймерамі перазамены ключоў, таму вы бачыце, ці абнаўляе разгортванне ключы па раскладзе. Статычны абмен ключамі RSA або стары рэжым сумяшчальнасці губляе ўласцівасць незалежна ад назвы шыфра. Запішыце назіраны рэжым, а не той, які рэкламаваў пастаўшчык.

Перазамена ключоў не азначае прамую сакрэтнасць аўтаматычна

Як часта тунель перазамяняе ключы — асобнае пытанне ад таго, як выводзіцца кожны ключ. Схема, якая перастварае ключы з доўгатэрміновага сакрэту, можа перазамяняць іх кожную хвіліну і ўсё роўна праваліць праверку, бо позняя кампраметацыя аднаўляе іх усе. Наадварот, пратакол з рэдкай перазаменай можа заставацца з прамой сакрэтнасцю, калі кожны абмен незалежны. Чытайце вытворную, а не інтэрвал, і не блытайце кароткі таймер перападлучэння з крыптаграфічнай гарантыяй.

Тая ж блытаніна ўзнікае з назвамі шыфраў: сучасны шыфр нічога не кажа пра тое, як да яго прыйшоў ключ.

Што застаецца бачным пасля гарантыі

Прамая сакрэтнасць абараняе адкрыты тэкст запісаных сесій ад будучай кампраметацыі ключоў, і яна нічога не робіць супраць зламысніка, які чытае жывы трафік на скампраметаванай канцавой прыладзе. Яна не прыбірае з запісу адрасы прызначэння, час і аб'ём, і не абмяжоўвае, як доўга аператар захоўвае журналы злучэнняў. Яна таксама не робіць скампраметаваны кліент надзейным, бо зламыснік ужо знаходзіцца там, дзе змест існуе ў адкрытым выглядзе.

Калі пастаўшчык заяўляе пра прамую сакрэтнасць, спытайце, які доўгатэрміновы сакрэт лічыцца выкрадзеным і якія сакрэты сесій застаюцца недаступнымі. Калі на гэтыя два пытанні ёсць дакладныя адказы, сцвярджэнне нешта азначае.